Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

CVE-2026-35383

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Bentley Systems iTwin Platform exposed a Cesium ion access token in the source of some web pages. An unauthenticated attacker could use this token to enumerate or delete certain assets. As of 2026-03-27, the token is no longer present in the web pages and cannot be used to enumerate or delete assets.

Gravedad CVSS v4.0: MEDIA

Última modificación:

03/04/2026

CVE-2026-35053

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OneUptime is an open-source monitoring and observability platform. Prior to version 10.0.42, the Worker service&#39;s ManualAPI exposes workflow execution endpoints (GET /workflow/manual/run/:workflowId and POST /workflow/manual/run/:workflowId) without any authentication middleware. An attacker who can obtain or guess a workflow ID can trigger arbitrary workflow execution with attacker-controlled input data, enabling JavaScript code execution, notification abuse, and data manipulation. This issue has been patched in version 10.0.42.

Gravedad CVSS v4.0: CRÍTICA

Última modificación:

13/04/2026

CVE-2026-5420

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** A security flaw has been discovered in Shinrays Games Goods Triple App up to 1.200. The affected element is an unknown function of the file jRwTX.java of the component cats.goods.sort.sorting.games. Performing a manipulation of the argument AES_IV/AES_PASSWORD results in use of hard-coded cryptographic key<br /> . Attacking locally is a requirement. The complexity of an attack is rather high. The exploitability is described as difficult. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Gravedad CVSS v4.0: BAJA

Última modificación:

29/04/2026

CVE-2026-34840

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** OneUptime is an open-source monitoring and observability platform. Prior to version 10.0.42, OneUptime&#39;s SAML SSO implementation (App/FeatureSet/Identity/Utils/SSO.ts) has decoupled signature verification and identity extraction. isSignatureValid() verifies the first element in the XML DOM using xml-crypto, while getEmail() always reads from assertion[0] via xml2js. An attacker can prepend an unsigned assertion containing an arbitrary identity before a legitimately signed assertion, resulting in authentication bypass. This issue has been patched in version 10.0.42.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/04/2026

CVE-2026-34932

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, there is a stored XSS vulnerability that can lead to CSRF. This issue has been patched in version 2026.3.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

CVE-2026-34931

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, there is an open redirect vulnerability that leads to token exfiltration. With these tokens, the attacker can sign in as the victim to takeover their account. This issue has been patched in version 2026.3.0.

Gravedad CVSS v4.0: ALTA

Última modificación:

15/04/2026

CVE-2026-34848

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, there is a stored XSS vulnerability in the team member overflow tooltip via display name. This issue has been patched in version 2026.3.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2026-34847

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** hoppscotch is an open source API development ecosystem. Prior to version 2026.3.0, the /enter page contains a DOM-based open redirect vulnerability. The redirect query parameter is directly used to construct a URL and redirect the user without proper validation. This issue has been patched in version 2026.3.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

CVE-2026-34838

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Group-Office is an enterprise customer relationship management and groupware tool. Prior to versions 6.8.156, 25.0.90, and 26.0.12, a vulnerability in the AbstractSettingsCollection model leads to insecure deserialization when these settings are loaded. By injecting a serialized FileCookieJar object into a setting string, an authenticated attacker can achieve Arbitrary File Write, leading directly to Remote Code Execution (RCE) on the server. This issue has been patched in versions 6.8.156, 25.0.90, and 26.0.12.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

15/04/2026

CVE-2026-34833

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to version 1.4.10, the GET /api/auth/session endpoint previously included the user&#39;s plaintext password in the JSON response. This exposed credentials to browser logs, local caches, and network proxie. This issue has been patched in version 1.4.10.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-34834

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to version 1.4.10, the verifyIdentity() function contained logic that returned true if no session cookies were present. This allowed unauthenticated attackers to bypass security checks and access/modify user settings via the /api/settings endpoint by providing arbitrary headers. This issue has been patched in version 1.4.10.

Gravedad CVSS v4.0: ALTA

Última modificación:

09/04/2026

CVE-2026-34832

Fecha de publicación:

02/04/2026

Idioma:

Inglés

*** Pendiente de traducción *** Scoold is a Q&A and a knowledge sharing platform for teams. Prior to version 1.66.1, Scoold contains an authenticated authorization flaw in feedback deletion that allows any logged-in, low-privilege user to delete another user&#39;s feedback post by submitting its ID to POST /feedback/{id}/delete. The handler enforces authentication but does not enforce object ownership (or moderator/admin authorization) before deletion. In verification, a second non-privileged account successfully deleted a victim account&#39;s feedback item, and the item immediately disappeared from the feedback listing/detail views. This issue has been patched in version 1.66.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2026

Suscribirse a Vulnerabilidades